Samoczynny restart systemu

[przemoc (Przemock)]

System świeżo po instalacji, ale już się przewinęły jakieś wirusy, a przed momentem sam się zrestartował:

Logfile of HijackThis v1.99.1

Scan saved at 21:33:07, on 2007-07-24

Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\savedump.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\msantis.exe

C:\Program Files\Eset\nod32kui.exe

C:\Program Files\Eset\nod32krn.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Program Files\Agnitum\Outpost Firewall\outpost.exe

C:\WINDOWS\System32\wuauclt.exe

E:\Programz\hijackthis\HijackThis.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [Outpost Firewall] C:\Program Files\Agnitum\Outpost Firewall\outpost.exe /waitservice

O4 - HKLM\..\Run: [OutpostFeedBack] C:\Program Files\Agnitum\Outpost Firewall\feedback.exe /dump:os_startup

O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\RunServices: [mmsass] mmdmm.exe

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O9 - Extra button: Szybkie dostosowywanie programu Outpost Firewall Pro - {44627E97-789B-40d4-B5C2-58BD171129A1} - C:\Program Files\Agnitum\Outpost Firewall\Plugins\BrowserBar\ie_bar.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1185289450892

O23 - Service: Local Service - Unknown owner - C:\WINDOWS\msantis.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe

O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - C:\Program Files\Agnitum\Outpost Firewall\outpost.exe

[jessica]

O4 - HKLM…\RunServices: [mmsass] mmdmm.exe

Ten w/w wpis sfiksuj w Hijacku:

>>Hijack>>scan(Do a system scan only)>>zaznacz go >> Fix checked.

Nie wiem, jaka jest lokalizacja(ścieżka) tego “mmdmm.exe”, więc na razie nie podaję jego usuwania.

Spróbuj ustalić,gdzie on się znajduje (prawdopodobnie w folderze “system32”).

>>Start >>> Uruchom >>> wybierz (lub wpisz) cmd >> zastosować te komendy (po każdej wciśnij “ENTER”):

SC STOP “Local Service” SC DELETE “Local Service” DEL C:\WINDOWS\msantis.exe DEL C:\WINDOWS\system32\mmdmm.exe --> ten plik usuwaj tylko jeśli zgadza się ścieżka, jeśli u Ciebie ścieżka będzie inna, to trzeba to tutaj będzie zmienić

Potem daj nowy log z Hijacka oraz Combo** Fix**

INSTRUKCJA URUCHOMIENIA:

1. Trzeba zamknąć wszystkie otwarte okna i programy.

2. ComboFix uruchamia się przez dwuklik na ikonkę ComboFix.exe

3. pojawi się napis please wait - więc czekać

4. pojawi się napis the process cannot access the file because it is being users by another process - dalej czekać

5. pojawi się napis na dole okienka type 1 to continue, or 2 to abort. _ - trzeba wpisać 1 i nacisnąć ENTER

6. pojawi się napis: Scanning for infectes files…

Shouldn,t take more than 10minutes - czekać

7. W czasie skanowania nie wolno nic robić, nawet poruszać myszką.

8. Po skończeniu skanowania pojawi się log. Jeśli się nie pojawi na ekranie, to można go znaleźć na C:\ComboFix.txt

9. Log może być długi, więc zapisz go sobie gdzieś, a potem wklej na http://wklej.org/, a w poście daj tylko link.

.

[przemoc (Przemock)]

O4 - HKLM…\RunServices: [mmsass] mmdmm.exe Ten w/w wpis sfiksuj w Hijacku: >>Hijack>>scan(Do a system scan only)>>zaznacz go >>Fix checked.

poszło

>>Start >>> Uruchom >>> wybierz (lub wpisz) cmd>> zastosować te komendy (po każdej wciśnij “ENTER”): Cytat: SC STOP “Local Service” SC DELETE “Local Service” DEL C:\WINDOWS\msantis.exe DEL C:\WINDOWS\system32\mmdmm.exe --> ten plik usuwaj tylko jeśli zgadza się ścieżka, jeśli u Ciebie ścieżka będzie inna, to trzeba to tutaj będzie zmienić

wykonało się tylko polecenie SC DELETE, pozostałe wywaliły błędy:

C:\Documents and Settings\Przemek>SC STOP "Local Service"

[SC] ControlService FAILED 1052:




C:\Documents and Settings\Przemek>DEL C:\WINDOWS\msantis.exe

Nie można odnaleźć C:\WINDOWS\msantis.exe.


C:\Documents and Settings\Przemek>DEL C:\WINDOWS\system32\mmdmm.exe

Nie można odnaleźć C:\WINDOWS\system32\mmdmm.exe.

Potem daj nowy log z Hijacka

Logfile of HijackThis v1.99.1

Scan saved at 18:02:20, on 2007-07-25

Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\msantis.exe

C:\Program Files\Eset\nod32kui.exe

C:\Program Files\Eset\nod32krn.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Program Files\Agnitum\Outpost Firewall\outpost.exe

C:\WINDOWS\System32\msiexec.exe

C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe

C:\WINDOWS\System32\dllhost.exe

C:\WINDOWS\System32\wuauclt.exe

C:\WINDOWS\SoftwareDistribution\Download\43ab4310d3c682d7f669ad4db86a272d\update\update.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\System32\cmd.exe

E:\Programz\hijackthis\HijackThis.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [Outpost Firewall] C:\Program Files\Agnitum\Outpost Firewall\outpost.exe /waitservice

O4 - HKLM\..\Run: [OutpostFeedBack] C:\Program Files\Agnitum\Outpost Firewall\feedback.exe /dump:os_startup

O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe

O4 - HKCU\..\RunOnce: [MPlayer2_FixUp] C:\WINDOWS\inf\unregmp2.exe /Fixups

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O9 - Extra button: Szybkie dostosowywanie programu Outpost Firewall Pro - {44627E97-789B-40d4-B5C2-58BD171129A1} - C:\Program Files\Agnitum\Outpost Firewall\Plugins\BrowserBar\ie_bar.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1185289450892

O17 - HKLM\System\CCS\Services\Tcpip\..\{2F9F5EFF-F618-4D98-A053-78C762C89027}: NameServer = 194.204.159.1 217.98.63.164

O17 - HKLM\System\CS1\Services\Tcpip\..\{2F9F5EFF-F618-4D98-A053-78C762C89027}: NameServer = 194.204.159.1 217.98.63.164

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe

O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - C:\Program Files\Agnitum\Outpost Firewall\outpost.exe

Złączono Posta : 25.07.2007 (Sro) 18:19

oraz ComboFix

"Przemek" - 2007-07-25 18:04:42 [GMT 2:00] - ComboFix 07-07-24 - Dodatek Service Pack. 1 [color=red][b]FAT32 [/b][/color]

[Gutek]

Czyszczenie rejestru:

RegCleaner - http://www.dobreprogramy.pl/index.php?dz=2&t=29&id=177

możesz rejestr przelecieć albo

jv16 PowerTools - http://www.dobreprogramy.pl/index.php?dz=2&t=29&id=509

Opis RegCleaner - http://www.agavk.p9.pl/strony/progra_regcleaner.php

Zobacz - Obsługa jv16 PowerTools

Pobierz program SDFix

[przemoc (Przemock)]

Czyszczenie rejestru: RegCleaner - http://www.dobreprogramy.pl/index.php?dz=2&t=29&id=177

poszło

Pokaż Report.txt znajdujący się w folderze SDFix.

SDFix: Version 1.93


Run by Administrator on 2007-07-25 at 20:18


Microsoft Windows XP [Wersja 5.1.2600]


Running From: C:\SDFix


Safe Mode:

Checking Services: 



Restoring Windows Registry Values

Restoring Windows Default Hosts File


Rebooting...



Normal Mode:

Checking Files: 


Trojan Files Found:


C:\WINDOWS\SYSTEM32\MSSMP.EXE - Deleted

C:\WINDOWS\system32\i - Deleted

C:\WINDOWS\system32\mssmp.exe - Deleted



Removing Temp Files...


ADS Check:


C:\WINDOWS

No streams found. 


C:\WINDOWS\system32

No streams found. 


C:\WINDOWS\system32\svchost.exe

No streams found.


C:\WINDOWS\system32\ntoskrnl.exe

No streams found.




                                 Final Check:


Remaining Services:

------------------




Authorized Application Key Export:


[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]


[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]


Remaining Files:

---------------


Backups Folder: - C:\SDFix\backups\backups.zip


Files with Hidden Attributes:


C:\WINDOWS\msantis.exe

C:\WINDOWS\system32\mmdmm.exe

C:\WINDOWS\SoftwareDistribution\Download\43ab4310d3c682d7f669ad4db86a272d\download\BIT481.tmp

C:\WINDOWS\SoftwareDistribution\Download\43ab4310d3c682d7f669ad4db86a272d\download\BITB09.tmp


                                 Finished

Pobierz The Avenger. Wypakuj => uruchom => zaznacz opcję Input script manually => kliknij w taką lupkę => w okienku, które się otworzy wklej: Cytat: Files to delete: C:\WINDOWS\msantis.exe kliknij klawisz Done => teraz kliknij na zielone światełko => powinna pojawić się pewna informacja i kliknij OK (teraz restart).

poszło

[Gutek]

Nowe logi do kontroli

[przemoc (Przemock)]

hijack

Logfile of HijackThis v1.99.1

Scan saved at 20:50:24, on 2007-07-25

Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Eset\nod32krn.exe

C:\Program Files\Agnitum\Outpost Firewall\outpost.exe

C:\Program Files\Eset\nod32kui.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\System32\wuauclt.exe

C:\WINDOWS\System32\wuauclt.exe

E:\Programz\hijackthis\HijackThis.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [Outpost Firewall] C:\Program Files\Agnitum\Outpost Firewall\outpost.exe /waitservice

O4 - HKLM\..\Run: [OutpostFeedBack] C:\Program Files\Agnitum\Outpost Firewall\feedback.exe /dump:os_startup

O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O9 - Extra button: Szybkie dostosowywanie programu Outpost Firewall Pro - {44627E97-789B-40d4-B5C2-58BD171129A1} - C:\Program Files\Agnitum\Outpost Firewall\Plugins\BrowserBar\ie_bar.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1185289450892

O17 - HKLM\System\CCS\Services\Tcpip\..\{2F9F5EFF-F618-4D98-A053-78C762C89027}: NameServer = 194.204.159.1 217.98.63.164

O17 - HKLM\System\CS1\Services\Tcpip\..\{2F9F5EFF-F618-4D98-A053-78C762C89027}: NameServer = 194.204.159.1 217.98.63.164

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe

O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - C:\Program Files\Agnitum\Outpost Firewall\outpost.exe

[Gutek]

HJT czysty

[przemoc (Przemock)]

combofix:

"Przemek" - 2007-07-25 20:53:01 [GMT 2:00] - ComboFix 07-07-24 - Dodatek Service Pack. 1 [color=red][b]FAT32 [/b][/color]

[Gutek]

Powinno być Ok

[przemoc (Przemock)]

Ok dzięki wielkie za pomoc!